Cloudflare Tunnel funktioniert nicht mit aktivierter Firewall - trotz entsprechender Regeln

    Wenn ich die Firewall aktiviere (siehe Screenshot), dann erhalte ich beim Aufbau des Cloudflare Tunnels folgenden Fehler:

    Code
    ERR Failed to dial a quic connection error="failed to dial to edge with quic: timeout: no recent network activity" connIndex=0 event=0 ip=198.41.192.227
WRN If this log occurs persistently, and cloudflared is unable to connect to Cloudflare Network with `quic` protocol, then most likely your machine/network is getting its egress UDP to port 7844 (or others) blocked or dropped. Make sure to allow egress connectivity as per https://developers.cloudflare.com/cloudflare-one/connections/connect-apps/configuration/ports-and-ips/
    Screenshot 2026-05-19 at 21.19.23.png

    Laut cloudflare Supprt Seite https://developers.cloudflare.com/tunnel/troubleshooting/ genügt ausgehender UDP Traffic auf dem Port 7844 - das sollte durch das Regelwerk abgedeckt sein.

    Deaktiviere ich die Firewall, dann läuft alles.

    Auch über ufw ist der Port nicht explizit freigegeben und ufw ist immer aktiv --> es hängt an eurer Firewall

    Könnte ihr das Problem bitte beheben und mir ggf. einen Workaround (außer das Deaktivieren) nennen?

    Herzlichen Dank und viele Grüße,

    Christopher

    Der Grund dafür steht in der Hilfe:

    Zitat

    Die Firewall ist stateful. Das bedeutet, dass sie sich Verbindungen merkt, die von deinem Server ausgehen, und den Rückverkehr automatisch annimmt. Dies gilt jedoch nur für TCP-Traffic. Um UDP-Traffic auf die Whitelist zu setzen, musst du sowohl eine INGRESS- als auch eine EGRESS-Regel in deiner Policy anlegen

    Zitat von sudoNoSleep

    Du musst fuer cloudflared eingehend den Port 7844 UDP erlauben damit der cloudflared Tunnel die QUIC Pakete zu dir zurueck senden kann. Also zum mindest in der NC Firewall, in UFW ist das nicht noetig.

    Das hatte letztens mein Problem mit dem cloudflared Tunnel geloest.

    Screenshot 2026-05-19 213503.png

    Danke!

    Ich muss nun ebenfalls alle eingehenden UDP Ports öffnen - finde das nicht optimal.

    Kann man die Firewall nicht auf stateless umstellen?

    Die TCP-Firewall ist stateful. Die UDP-Firewall ist stateless. Das ist nicht änderbar. Wenn du den Source Port auf deinem Server festlegen oder eingrenzen kannst (z.B. per NAT), musst du den Traffic nicht für alle UDP-Ports reinlassen. Sonst reicht es wahrscheinlich, wenn du den Traffic nur für die Ephemeral Port Range auf deinem System freigibst. Wenn du die IP-Adressen von Cloudflare für den Dienst kennst, kannst du den Traffic auch darauf einschränken. Ansonsten eben wie in der ersten Antwort, dann geht es, aber ein Angreifer kann dann durch Wahl des Source Ports auf alle deine UDP-Ports zugreifen.